VPS को Tailscale exit node कैसे बनाएं

Tailscale exit node क्या करता है

Tailscale exit node आपके tailnet पर मौजूद एक ऐसी मशीन है जो आपके अन्य सभी उपकरणों के लिए इंटरनेट ट्रैफिक को ले जाती है। एक VPS (virtual private server) इसके लिए एक अच्छा विकल्प है क्योंकि इसका एक स्थिर public address होता है और यह हमेशा ऑनलाइन रहता है। इसे सेटअप करने के पांच चरण हैं: सर्वर पर Tailscale इंस्टॉल करें, exit node को advertise करें, IP forwarding को सक्षम करें, admin console में route को approve करें, और फिर अपने लैपटॉप पर उस नोड को चुनें। चौथा चरण एक वेब पेज पर मौजूद चेकबॉक्स है, न कि कोई कमांड, और यहीं पर अधिकतर लोग अटक जाते हैं।

एक बार चालू हो जाने पर, आपका लैपटॉप हर पैकेट को एन्क्रिप्ट करता है और उसे VPS पर भेज देता है। VPS उस पर source NAT (network address translation) लागू करता है और पैकेट को अपने स्वयं के public IP address के साथ आगे भेज देता है। वेबसाइटें VPS को देखती हैं। कैफे का Wi-Fi केवल VPS की ओर जाने वाला एक एन्क्रिप्टेड UDP फ्लो देखता है और कुछ नहीं। Exit node के बिना, Tailscale केवल आपके अपने उपकरणों के बीच ट्रैफिक ले जाता है, और हर वेबसाइट अभी भी आपका वास्तविक पता देखती है, जो क्या Tailscale को VPN माना जाए के पीछे का मुख्य अंतर है।

Tailscale डेटा पाथ के लिए WireGuard है, साथ ही एक coordination server है जो कुंजियों को वितरित करता है और दो मशीनों को NAT के माध्यम से एक-दूसरे को खोजने में मदद करता है। वह coordination server ही कारण है कि नीचे कहीं भी key copying की आवश्यकता नहीं है। ट्रेड-ऑफ के बारे में विस्तार से जानने के लिए, Tailscale और साधारण WireGuard की तुलना कैसे करें पढ़ें। यदि आप टनल के हर हिस्से को स्वयं नियंत्रित करना चाहते हैं, तो इसके बजाय अपने VPS पर साधारण WireGuard VPN को self-host करें।

नीचे दिए गए चरण यह मानकर चलते हैं कि Tailscale आपके लैपटॉप पर पहले से चल रहा है, और दोनों मशीनें एक ही tailnet में साइन इन हैं। Tailnet आपका निजी Tailscale नेटवर्क है, और जब तक किसी एडमिन ने इसके लिए IPv4 को बंद न किया हो, इसमें मौजूद हर उपकरण को 100.64.0.0/10 के भीतर एक स्थिर पता मिलता है।

अपने VPS पर Tailscale इंस्टॉल करें

curl -fsSL https://tailscale.com/install.sh | sh
sudo tailscale up

इंस्टॉल स्क्रिप्ट आपके Linux distribution के लिए उपयुक्त package repository चुनती है और tailscaled daemon को इंस्टॉल करती है। इसके बाद tailscale up एक authentication URL प्रिंट करता है। इसे ब्राउज़र में खोलें और उसी अकाउंट से साइन इन करें जिसका उपयोग आपका लैपटॉप करता है, क्योंकि किसी अलग tailnet में साइन इन किया गया VPS आपके लैपटॉप को एक्सेस नहीं दे पाएगा।

tailscale status
tailscale ip -4

tailscale status में अब दोनों मशीनें दिखनी चाहिए। tailscale ip -4 VPS का tailnet एड्रेस प्रिंट करता है, जिसे आप बाद में क्लाइंट को प्रदान करेंगे।

Tunnel बनाने के लिए Tailscale को एक TUN device की आवश्यकता होती है। KVM VPS पर यह device पहले से मौजूद होता है। कंटेनर वर्चुअलाइजेशन पर आधारित प्लान्स में, जो host kernel साझा करते हैं, /dev/net/tun कभी-कभी अनुपस्थित होता है और tailscaled, tailscale0 interface नहीं बना पाता है। आगे बढ़ने से पहले ls -l /dev/net/tun चलाएं।

IP forwarding सक्षम करें, अन्यथा VPS हर पैकेट को ड्रॉप कर देगा

एक Linux मशीन उन सभी पैकेटों को ड्रॉप कर देती है जो स्वयं उसके लिए नहीं होते, क्योंकि net.ipv4.ip_forward डिफ़ॉल्ट रूप से 0 होता है। Exit node आपके ट्रैफ़िक को स्वीकार तो करेगा, उसे डिक्रिप्ट करेगा, लेकिन फिर उसे हटा देगा। इस सेटिंग को एक फ़ाइल में लिखें ताकि यह रीबूट के बाद भी बनी रहे।

echo 'net.ipv4.ip_forward = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
echo 'net.ipv6.conf.all.forwarding = 1' | sudo tee -a /etc/sysctl.d/99-tailscale.conf
sudo sysctl -p /etc/sysctl.d/99-tailscale.conf

tee -a डेटा को अंत में जोड़ता है (append), इसलिए इन लाइनों को दूसरी बार चलाने पर दोनों सेटिंग्स दो बार लिखी जाएंगी। परिणाम तब भी काम करेगा, लेकिन cat /etc/sysctl.d/99-tailscale.conf अजीब दिखेगा। फ़ाइल पर भरोसा करने के बजाय लाइव वैल्यू की पुष्टि करें:

sysctl net.ipv4.ip_forward

इसे net.ipv4.ip_forward = 1 प्रिंट करना चाहिए। यदि आप इसे छोड़ देते हैं और tailscale up --advertise-exit-node का उपयोग करते हैं, तो क्लाइंट आपको यह बताएगा:

Warning: IP forwarding is disabled, subnet routing/exit nodes will not work.

tailscale set --advertise-exit-node उस चेक को रन नहीं करता है, इसलिए set की तरफ से कोई प्रतिक्रिया न मिलना इस बात का प्रमाण नहीं है कि फ़ॉरवर्डिंग चालू है। sysctl वैल्यू को स्वयं पढ़ें।

आपको मैन्युअल रूप से masquerade नियम लिखने की आवश्यकता नहीं है। tailscaled अपनी खुद की फ़ायरवॉल चेन इंस्टॉल करता है, जिनका नाम ts-input, ts-forward और ts-postrouting है, और exit node ट्रैफ़िक के लिए NAT नियम ts-postrouting में रहता है। उन्हें sudo iptables-save | grep ts- के साथ देखें, या nftables वाले बॉक्स पर sudo nft list ruleset का उपयोग करें।

VPS को exit node के रूप में advertise करें

sudo tailscale set --advertise-exit-node

tailscale set एक preference को बदलता है और बाकी को वैसा ही रहने देता है। tailscale up --advertise-exit-node नोड को भी advertise करता है, और इसका एक side effect होता है: up अपने command line पर दिए गए flags को non-default सेटिंग्स के पूर्ण सेट के रूप में मानता है, इसलिए बाद में चलाया गया एक साधारण sudo tailscale up चलने से मना कर देता है और यह प्रिंट करता है:

changing settings via 'tailscale up' requires mentioning all
non-default flags. To proceed, either re-run your command with --reset or
use the command below to explicitly mention the current value of
all non-default settings:

निरंतर बदलावों के लिए set का उपयोग करें और आपको कभी भी वह संदेश नहीं मिलेगा।

Advertising एक प्रस्ताव है। VPS अब coordination server को बता रहा है कि वह एक exit node बनने के लिए तैयार है। अभी कोई भी client इसका उपयोग नहीं कर सकता है।

Admin console में Tailscale exit node को approve करें

यह वह चरण है जिसके लिए किसी command की आवश्यकता नहीं है। Machines page in the admin console खोलें और अपना VPS ढूँढें, जिस पर अब Exit Node का badge दिखाई देना चाहिए। उस device के menu को खोलें, Edit exit node चुनें, Use as exit node box को check करें, और फिर Save पर click करें।

जब तक यह box check करके save नहीं किया जाता, control plane इस प्रस्ताव को रोक कर रखता है और इसे किसी को नहीं देता है। आपके laptop पर tailscale exit-node list कुछ नहीं दिखाता है, और आपका traffic अपने सामान्य मार्ग पर ही चलता रहता है। किसी भी machine पर कोई error message नहीं आता है। Exit node बस कभी दिखाई ही नहीं देता है।

आप tailnet policy file में एक entry के माध्यम से exit nodes को स्वचालित रूप से approve कर सकते हैं:

"autoApprovers": {
  "exitNode": ["tag:exit"],
}

--advertise-tags=tag:exit के साथ start की गई device अपने आप approve हो जाती है, बशर्ते कि उसी policy file में tagOwners के अंतर्गत tag:exit परिभाषित हो। Tagging स्वामित्व बदल देती है: एक tagged device आपके user account के बजाय tailnet की हो जाती है, और उस पर लागू होने वाले access rules भी बदल जाते हैं। एक single VPS के लिए, checkbox का उपयोग करना अधिक सरल है।

अपने लैपटॉप पर exit node चुनें

Linux client पर:

tailscale exit-node list
sudo tailscale set --exit-node=vps.your-tailnet.ts.net

exit-node list आपके tailnet में स्वीकृत exit nodes को उनके पतों के साथ दिखाता है। यदि सूची खाली है, तो इसका अर्थ है कि approval चरण पूरा नहीं हुआ है। macOS, Windows, iOS और Android पर यही विकल्प Tailscale ऐप में Exit Node के अंतर्गत एक मेनू आइटम के रूप में उपलब्ध होता है।

Client से पुष्टि करें, सर्वर से कभी नहीं:

curl -4 https://ifconfig.me

Exit node चुनने से पहले और चुनने के बाद इसे एक बार चलाएं। पता आपके स्थानीय पते से बदलकर VPS के public IP में बदल जाना चाहिए। Exit node का उपयोग बंद करने के लिए:

sudo tailscale set --exit-node=

पहले दिन एक और flag महत्वपूर्ण है। Exit node चुने होने पर, client सब कुछ tunnel के अंदर भेज देता है, जिसमें 192.168.1.50 को संबोधित packets भी शामिल हैं, इसलिए आपका printer और network storage जवाब देना बंद कर देते हैं। स्थानीय network को local route पर रखने के लिए:

sudo tailscale set --exit-node=<name> --exit-node-allow-lan-access=true

एग्जिट नोड चालू होने पर आपका DNS क्यों बदल जाता है

डिफ़ॉल्ट रूप से, एग्जिट नोड का उपयोग करने वाला डिवाइस हर डोमेन के लिए उस एग्जिट नोड को ही अपने DNS (डोमेन नेम सिस्टम) रिज़ॉल्वर के रूप में उपयोग करता है, और यह आपके tailnet के लिए कॉन्फ़िगर किए गए ग्लोबल और स्प्लिट DNS नेमसर्वर को ओवरराइड कर देता है। यह व्यवहार जानबूझकर रखा गया है। यदि क्वेरीज़ स्थानीय नेटवर्क के रिज़ॉल्वर पर जाती रहतीं, तो कैफ़े का राउटर अभी भी उन सभी साइटों के नाम देख पाता जिन पर आप जाते हैं, भले ही ट्रैफ़िक निजी रहता। नाम और पैकेट एक ही जगह से बाहर जाने चाहिए।

इसका एक परिणाम उन लोगों को भुगतना पड़ता है जो इंटरनल रिज़ॉल्वर चला रहे हैं: जिस tailnet नेमसर्वर पर आप निर्भर हैं, एग्जिट नोड चालू होने पर उसका उपयोग बंद हो जाता है। इसे वापस लाने के लिए एडमिन कंसोल के DNS पेज पर उस नेमसर्वर के लिए Use with exit node को चालू करें।

MagicDNS नाम काम करना जारी रखते हैं, क्योंकि Tailscale क्लाइंट एग्जिट नोड तक कुछ भी पहुँचने से पहले ही 100.100.100.100 पर स्थानीय रूप से उनका उत्तर दे देता है। इसे dig @100.100.100.100 your-vps.your-tailnet.ts.net के साथ, या systemd-resolved क्लाइंट पर resolvectl status के साथ जांचें, जहाँ Tailscale इंटरफ़ेस 100.100.100.100 को अपने DNS सर्वर के रूप में सूचीबद्ध करता है।

यदि आप --accept-dns=false के साथ Tailscale की DNS हैंडलिंग को अक्षम (disable) करते हैं, तो क्लाइंट स्थानीय नेटवर्क से प्राप्त रिज़ॉल्वर को ही बनाए रखता है। ट्रैफ़िक टनल हो जाता है लेकिन क्वेरीज़ नहीं होतीं, जो कि वही DNS लीक है जो मैन्युअल रूप से बनाए गए WireGuard टनल में होती है। जब तक आपके पास इसे बदलने का कोई विशिष्ट कारण न हो, --accept-dns को न बदलें।

Exit node के माध्यम से IPv6

एक exit node डिफ़ॉल्ट routes, 0.0.0.0/0 और ::/0 दोनों को advertise करता है। यदि VPS के पास इंटरनेट के लिए कोई कार्यशील IPv6 path नहीं है, तो IPv6 packets tunnel के माध्यम से पहुँचते हैं और वहीं रुक जाते हैं। उस पर भरोसा करने से पहले VPS पर परीक्षण करें:

ip -6 addr show
curl -6 https://ifconfig.me

एक request जो connect होने में विफल रहती है, उसका मतलब है कि VPS के पास बाहर जाने के लिए कोई कार्यशील IPv6 path नहीं है। यदि curl इसके बजाय "Could not resolve host" रिपोर्ट करता है, तो समस्या IPv6 के बजाय name resolution की है, इसलिए VPS पर DNS को ठीक करें और परीक्षण को फिर से चलाएँ। Dual stack वेबसाइटें आमतौर पर अभी भी लोड हो जाती हैं, क्योंकि Happy Eyeballs को लागू करने वाले clients, जिनमें curl भी शामिल है, IPv6 attempt के थोड़े इंतज़ार के बाद connect न होने पर समानांतर में IPv4 attempt शुरू कर देते हैं, और जो पहले connect होता है उसे बनाए रखते हैं। curl डिफ़ॉल्ट रूप से 200 milliseconds इंतज़ार करता है, इसलिए वह इंतज़ार त्रुटि के बजाय नए connections में देरी जोड़ता है। केवल IPv6 वाले destinations अगम्य (unreachable) बने रहते हैं।

दूसरा हिस्सा forwarding है। net.ipv4.ip_forward = 1 को net.ipv6.conf.all.forwarding के साथ 0 पर छोड़ने से आपको एक कार्यशील IPv4 path मिलता है और IPv6 के लिए एक black hole, जिसे उपयोगकर्ता "कुछ साइटें धीमी हैं" के रूप में अनुभव करते हैं, न कि ऐसी त्रुटि के रूप में जिसे कोई खोज सके। दोनों पंक्तियाँ sysctl फ़ाइल में होनी चाहिए।

क्या VPS को subnet routes का विज्ञापन भी करना चाहिए?

एक exit node सभी internet traffic को ले जाता है। एक subnet route उस private range को ले जाता है जो विज्ञापन करने वाली मशीन के पीछे स्थित होती है। ये अलग-अलग सुविधाएँ हैं जिन्हें अलग-अलग मंजूरी की आवश्यकता होती है, और एक मशीन दोनों काम कर सकती है। इनमें से कोई भी VPS पर चल रही किसी service को expose नहीं करता है, इसलिए यदि आप वास्तव में उस सर्वर पर किसी app के लिए HTTPS URL चाहते हैं, तो serve और funnel वे सुविधाएँ हैं जिनका उपयोग करना चाहिए।

sudo tailscale set --advertise-routes=10.0.0.0/24

जब VPS अन्य सर्वरों के साथ एक private network साझा करता है जिन्हें आप उनके private addresses के माध्यम से एक्सेस करना चाहते हैं, तो एक subnet का विज्ञापन करें। इसे exit node से अलग, अपने स्वयं के संवाद में स्वीकृत करें: Machines पेज पर, VPS का चयन करें, इसके Subnets सेक्शन में जाएँ, Edit subnet routes खोलने के लिए Edit चुनें, route का चयन करें, और फिर Save चुनें। Linux clients तब तक विज्ञापित route को अनदेखा करते हैं जब तक आप --accept-routes पास नहीं करते, जो उन अंतरों में से एक है जिन्हें subnet router वॉकथ्रू पूरी तरह से कवर करता है।

range का चयन सावधानी से करें। एक बार route स्वीकृत हो जाने के बाद, इसे स्वीकार करने वाला laptop (Windows, macOS, iOS और Android डिफ़ॉल्ट रूप से ऐसा करते हैं, Linux --accept-routes के बाद) उस range के लिए traffic को tunnel में भेज सकता है। VPS से 192.168.1.0/24 को स्वीकृत करें और एक home network पर मौजूद laptop जो उसी range का उपयोग करता है, उन addresses को tunnel में खो सकता है, और आपके डेस्क पर मौजूद उपकरण शांत हो सकते हैं। उस range का उपयोग करें जिसे आपने चुना है, न कि उस range का जिसे आपके home router ने आपके लिए चुना है।

UDP GRO forwarding के साथ exit node को तेज़ बनाना

Tailscale 1.54 और उसके बाद के संस्करण, Linux 6.2 या बाद के kernel पर, एक receive offload का उपयोग कर सकते हैं जो forwarded traffic के लिए throughput को बढ़ाता है। GRO (generic receive offload) kernel द्वारा पैकेट को एक-एक करके प्रोसेस करने से पहले आने वाले पैकेटों को मर्ज कर देता है। अक्टूबर 2026 तक, यह exit node पर एक मैन्युअल प्रक्रिया है।

sudo apt install -y ethtool
NETDEV=$(ip -o route get 8.8.8.8 | cut -f 5 -d " ")
sudo ethtool -K $NETDEV rx-udp-gro-forwarding on rx-gro-list off

ip -o route get 8.8.8.8 उस interface की रिपोर्ट करता है जो वास्तव में internet तक पहुँचता है, इसलिए आपको eth0, ens3 और enp1s0 के बीच कभी भी अनुमान लगाने की आवश्यकता नहीं होगी। ethtool -k $NETDEV | grep udp-gro-forwarding के साथ पुष्टि करें, जिसे अब on पढ़ना चाहिए। GRO केवल उसी path में मदद करता है जो अन्यथा ठीक काम कर रहा हो, इसलिए यदि इसके बाद भी exit node धीमा है, तो path को उसी तरह मापें जैसे आप एक साधारण WireGuard tunnel के लिए करते हैं जो अपने नीचे के link से धीमी चलती है।

Reboot करने पर यह सेटिंग हट जाती है। networkd-dispatcher चलाने वाले सिस्टम पर, इसे स्वचालित करें:

printf '#!/bin/sh\n\nethtool -K %s rx-udp-gro-forwarding on rx-gro-list off \n' "$(ip -o route get 8.8.8.8 | cut -f 5 -d " ")" | sudo tee /etc/networkd-dispatcher/routable.d/50-tailscale
sudo chmod 755 /etc/networkd-dispatcher/routable.d/50-tailscale

सबसे पहले जाँचें कि /etc/networkd-dispatcher/routable.d/ मौजूद है या नहीं। यदि यह मौजूद नहीं है, तो मशीन networkd-dispatcher नहीं चला रही है, और एक छोटी systemd unit जो boot के समय ethtool लाइन को चलाती है, वही काम करेगी।

आपके प्रदाता की acceptable use policy का exit traffic के लिए क्या अर्थ है

क्लाइंट द्वारा exit node के माध्यम से भेजा गया प्रत्येक पैकेट VPS के public IP address के साथ बाहर जाता है, इसलिए इसे आपके खाते से जोड़ा जाता है। दुरुपयोग की रिपोर्ट आपके इनबॉक्स में आती हैं: जैसे copyright notices, port scan की शिकायतें। किसी household या टीम को एक सर्वर के माध्यम से रूट करने से पहले अपने प्रदाता की AUP (acceptable use policy) पढ़ें, और किसी ऐसे व्यक्ति के लिए exit node न खोलें जिसकी आप जिम्मेदारी नहीं ले सकते।

Bandwidth की गणना एक बार, बाहर जाते समय होती है। exit node से गुजरने वाला प्रत्येक बाइट VPS को दो बार पार करता है, एक तरफ आता है और दूसरी तरफ से बाहर निकलता है, और अधिकांश VPS plans पर केवल बाहर जाने वाले हिस्से को ही मापा जाता है। अक्टूबर 2026 तक, SSD Nodes प्रत्येक KVM plan की allowance को outbound transfer के रूप में सूचीबद्ध करता है, जो प्रति माह 4TB से 48TB तक है, और Vultr का documentation बताता है कि inbound traffic को मापा नहीं जाता है। डाउनलोड के लिए, मापा जाने वाला हिस्सा VPS से tunnel के माध्यम से आपके laptop तक की यात्रा है। अपलोड के लिए, यह VPS से internet तक की यात्रा है। किसी भी तरह, आप जो कुछ भी exit node के माध्यम से रूट करते हैं, वह allowance के विरुद्ध एक बार गिना जाता है, और exit node के माध्यम से देखा गया वीडियो stream अधिकांश लोगों की अपेक्षा से अधिक bandwidth लेता है। अपनी योजना की जाँच करें, क्योंकि जो host दोनों दिशाओं को मापता है, वह उस stream को दो बार गिनता है।

Datacenter address ranges की एक प्रतिष्ठा भी होती है। कुछ साइटें उन पर अधिक CAPTCHAs दिखाती हैं, और कुछ streaming सेवाएं उन्हें सीधे अस्वीकार कर देती हैं। आपके configuration में कुछ भी इसे नहीं बदलता है, क्योंकि यह उस address block की विशेषता है जिसका स्वामी आपका प्रदाता है।

ट्रैफिक अभी भी आपके लोकल कनेक्शन से क्यों बाहर जा रहा है

एक्जिट नोड एडवर्टाइज तो है लेकिन स्वीकृत नहीं है। क्लाइंट पर tailscale exit-node list कुछ भी प्रिंट नहीं करता है, और न ही किसी मशीन पर कोई एरर लॉग होता है। Machines पेज पर जाएं, VPS के मेनू से Edit exit node चुनें, Use as exit node को चेक करें, और Save चुनें।

क्लाइंट ने इसे कभी चुना ही नहीं। अप्रूवल नोड को tailnet के लिए उपलब्ध कराता है। चयन प्रत्येक डिवाइस पर एक अलग क्रिया है। sudo tailscale set --exit-node=<name> को फिर से चलाएं, फिर curl -4 https://ifconfig.me को दोबारा चेक करें।

फॉरवर्डिंग बंद है। इसके लक्षण विशिष्ट हैं: tailscale ping <vps> सफल होता है, टनल स्पष्ट रूप से चालू है, और हर बाहरी एड्रेस टाइम आउट हो जाता है। sysctl net.ipv4.ip_forward का मान 0 पढ़ा जाता है। sysctl फाइल को ठीक करें, फिर sudo sysctl -p /etc/sysctl.d/99-tailscale.conf चलाएं।

एक फायरवॉल फॉरवर्ड किए गए पैकेट्स को ड्रॉप कर रहा है। tailscaled अपनी खुद की ts-forward चेन इन्सर्ट करता है, और एक क्लीन VPS पर यह पर्याप्त है। जो बॉक्स पहले से ufw या Docker चला रहे हैं, उनमें FORWARD पॉलिसी DROP हो सकती है और नियम Tailscale के नियमों से पहले आ सकते हैं। अनुमान न लगाएं कि कौन सा नियम समस्या कर रहा है: sudo iptables -L FORWARD -n -v चलाएं जबकि क्लाइंट पेज लोड करने का प्रयास कर रहा हो, और देखें कि कौन से काउंटर बढ़ रहे हैं। ufw वाले बॉक्स पर सामान्य समाधान /etc/default/ufw में DEFAULT_FORWARD_POLICY="ACCEPT" करना है, जिसके बाद sudo ufw reload चलाना है। कंट्रोल पैनल में अपने प्रोवाइडर के नेटवर्क फायरवॉल को भी चेक करें, क्योंकि यह सर्वर पर चल रही किसी भी चीज से अलग एक कंट्रोल है।

यह काम तो कर रहा है, लेकिन धीमा है। दोनों मशीनों पर tailscale netcheck चलाएं। यदि यह रिपोर्ट करता है कि UDP ब्लॉक है, तो दोनों डिवाइस सीधा रास्ता (direct path) नहीं बना सकते और DERP रिले पर वापस चले जाते हैं, जो हर कनेक्शन में लेटेंसी जोड़ता है। प्रोवाइडर के नेटवर्क फायरवॉल में VPS के लिए पोर्ट 41641 पर इनबाउंड UDP की अनुमति देने से आमतौर पर सीधा रास्ता बहाल हो जाता है।

Tailscale के coordination server को कब छोड़ें

ऊपर दी गई हर चीज़ key exchange और आपके द्वारा क्लिक की गई स्वीकृति के लिए Tailscale के hosted coordination server पर निर्भर करती है। आपका traffic laptop से VPS तक सीधे जाता है, या जब कोई सीधा रास्ता नहीं बन पाता तो Tailscale के DERP relays के माध्यम से जाता है। coordination server कभी भी आपके traffic को carry नहीं करता है, हालाँकि यह तय करता है कि tailnet में कौन शामिल हो सकता है और प्रत्येक device क्या access कर सकता है। कीमत शायद ही कभी इसे छोड़ने का कारण होती है, क्योंकि free plan में छह users और उनके असीमित devices शामिल हैं, इसलिए बिल के बजाय निर्भरता (dependency) पर विचार करें। सातवें व्यक्ति के साथ स्थिति बदल जाती है, और चूंकि Tailscale प्रति device के बजाय प्रति user शुल्क लेता है, इसलिए लागत के आधार पर कोई भी निर्णय लेने से पहले यह पता लगाएँ कि एक household या पाँच लोगों की टीम वास्तव में कितना भुगतान करती है। ईमानदारी से विचार करने का अर्थ है यह जानना कि एक compromised coordination server या चोरी हुआ identity account वास्तव में कहाँ तक पहुँच सकता है, जो कि Tailscale का trust model स्पष्ट करता है। यदि आप उस निर्भरता को हटाना चाहते हैं, तो Headscale को अपने Tailscale control server के रूप में चलाएँ और दोनों clients को उसकी ओर point करें। उसके बाद exit node के चरण समान रहते हैं, बस route की स्वीकृति hosted console के बजाय Headscale की command line के माध्यम से की जाती है। Headscale control plane को बदल देता है लेकिन आपको Tailscale clients पर ही रखता है, इसलिए यदि आप पूरा stack खुद चलाना चाहते हैं, तो NetBird अपना खुद का coordination server और clients प्रदान करता है जिन्हें आप एक VPS पर host कर सकते हैं।

FAQ

एग्जिट नोड चुनने के बाद भी मेरा ट्रैफिक मेरे लोकल कनेक्शन का उपयोग क्यों करता है?

इसके दो सामान्य कारण हैं। एग्जिट नोड को एडवर्टाइज तो किया गया था लेकिन उसे अप्रूव नहीं किया गया: एडमिन कंसोल में Machines पेज खोलें, VPS को खोजें, इसके मेनू से Edit exit node चुनें, Use as exit node को चेक करें और Save चुनें। अप्रूवल कंसोल में होता है, सर्वर पर कोई भी कमांड इसे पूरा नहीं कर सकता। दूसरा कारण अलग दिखता है: IP forwarding बंद है, इसलिए टनल तो चालू हो जाती है, tailscale ping VPS तक काम करता है, लेकिन हर बाहरी एड्रेस टाइम-आउट हो जाता है। sysctl net.ipv4.ip_forward के साथ जाँचें, जिसमें 1 लिखा होना चाहिए।

क्या मुझे हर बार एग्जिट नोड को मैन्युअल रूप से अप्रूव करना होगा?

यह अप्रूवल प्रत्येक मशीन के लिए एक बार की जाने वाली क्रिया है। यदि आप अक्सर VPS को रीबिल्ड करते हैं, तो अपनी tailnet पॉलिसी फाइल में एक autoApprovers ब्लॉक जोड़ें जिसमें "exitNode": ["tag:exit"] हो, tagOwners के अंतर्गत tag:exit को परिभाषित करें, और --advertise-tags=tag:exit के साथ नोड को चालू करें। एक टैग की गई डिवाइस आपके यूजर अकाउंट के बजाय tailnet के स्वामित्व में होती है, इसलिए उस पर लागू होने वाले एक्सेस नियम भी बदल जाते हैं।

एग्जिट नोड चालू रहने पर मेरा लैपटॉप किस DNS सर्वर का उपयोग करता है?

एग्जिट नोड का ही। एग्जिट नोड का उपयोग करने वाली डिवाइस सभी DNS क्वेरी वहीं भेजती है, और यह tailnet के लिए सेट किए गए ग्लोबल और स्प्लिट DNS नेमसर्वर को ओवरराइड कर देता है। यह लोकल नेटवर्क को आपके द्वारा देखे जाने वाले नामों को देखने से रोकता है। किसी एक tailnet नेमसर्वर को लागू रखने के लिए, एडमिन कंसोल के DNS पेज पर इसके लिए Use with exit node को इनेबल करें। MagicDNS नाम अभी भी रिजॉल्व होते हैं, क्योंकि Tailscale क्लाइंट उन्हें स्थानीय रूप से 100.100.100.100 पर हल करता है।

क्या एक VPS एक ही समय में एग्जिट नोड और सबनेट राउटर हो सकता है?

हाँ। sudo tailscale set --advertise-exit-node और sudo tailscale set --advertise-routes=10.0.0.0/24 स्वतंत्र हैं, और प्रत्येक को अपने स्वयं के डायलॉग में अप्रूव किया जाता है: एग्जिट नोड को Machines पेज पर डिवाइस के मेनू में Edit exit node के माध्यम से, और सबनेट को डिवाइस के Subnets सेक्शन में Edit के माध्यम से, जो Edit subnet routes खोलता है। दोनों के लिए VPS पर IP forwarding इनेबल होना आवश्यक है। ऐसी रेंज को एडवर्टाइज करने से बचें जो आपके लैपटॉप के होम नेटवर्क से मेल खाती हो, क्योंकि एक बार जब वह रूट अप्रूव हो जाता है और आपका लैपटॉप उसे स्वीकार कर लेता है, तो यह उन एड्रेस को आपके लोकल नेटवर्क से हटा सकता है और आपके लोकल डिवाइस तक पहुंच समाप्त हो सकती है।

क्या एग्जिट नोड मेरे ट्रैफिक को मेरे VPS प्रदाता से छिपाता है?

नहीं। टनल VPS पर समाप्त होती है, इसलिए ट्रैफिक सर्वर से उस रूप में बाहर निकलता है जिसकी डेस्टिनेशन अपेक्षा करती है, और आपका प्रदाता इसे स्पष्ट रूप से वहां ले जाता है जहां साइट स्वयं एन्क्रिप्टेड नहीं है। एक एग्जिट नोड उस बिंदु को स्थानांतरित करता है जहां आपका ट्रैफिक इंटरनेट से जुड़ता है, उस नेटवर्क से जिस पर आप बैठे हैं, उस सर्वर तक जिसे आप किराए पर लेते हैं। यह आपके ब्राउज़िंग को कैफे वाई-फाई और आपके होम ISP से छिपाता है, और वही ब्राउज़िंग आपके VPS प्रदाता को आपके अकाउंट नाम के साथ दिखाई देती है।